# Dove sono le tue password salvate, e chi altro può aprirle

> Se hai mai cliccato «Salva password», usi già un gestore di password. La domanda interessante non è dove sono le tue password, ma cosa serve per aprirle: e lì Chrome, Safari e Firefox non si somigliano per niente.

2026-08-30 · David Carrero · password.es
Original: https://password.es/it/blog/dove-sono-le-tue-password-salvate/

---

Se hai mai cliccato «Salva password» in quella finestrella che compare in basso,
usi già un gestore di password. **Nessuno te l'ha detto, non ne hai scelto
nessuno, e ne hai uno lo stesso.** Probabilmente con cento voci dentro.

Questo spiega perché la domanda più ripetuta sulle password non è «come ne faccio
una buona», ma «dove sono le mie». La gente non cerca un manuale di sicurezza:
cerca un elenco che sa che esiste e non riesce a trovare.

L'elenco esiste. Ma dove è conservato conta molto meno della risposta alla
domanda successiva, quella che quasi nessuno fa: **cosa serve per aprirlo?**

## Dove sono, a seconda di cosa usi

In **Chrome** sono nel gestore delle password di Google. Vivono in due posti
insieme: una copia sul computer e un'altra nel tuo account Google, sincronizzate.
Si vedono su `passwords.google.com` o dalle impostazioni del browser.

Su **Safari, iPhone e Mac** sono nel portachiavi iCloud, che da poco ha anche una
sua app, Password. Stessa idea: sul dispositivo e nel tuo account Apple.

In **Firefox** sono in due file dentro il tuo profilo, e i nomi vale la pena
conoscerli: `logins.json`, dove stanno nomi utente e password cifrati, e
`key4.db`, dove sta la chiave che li decifra. Mozilla lo documenta esattamente
così, con quei nomi.

In **Edge** sono nel tuo account Microsoft, con lo stesso schema di Chrome. E su
**Android** è lo stesso gestore di Google che usa Chrome, anche se lo apri dalle
impostazioni del telefono.

Fin qui la risposta che cercavi. Ora la parte che cambia qualcosa.

## Tre modelli, e perché non sono equivalenti

Tutti dicono «le tue password sono cifrate». È vero in tutti e tre i casi e non
significa la stessa cosa in nessuno, perché quello che cambia è **chi ha la
chiave**.

**Il portachiavi di Apple è cifrato end-to-end.** Le chiavi che lo aprono Apple
non le conosce; esistono solo sui tuoi dispositivi fidati. Apple lo pubblica
nella sua documentazione di sicurezza e aggiunge un dettaglio che si apprezza: il
sistema limita i tentativi, proprio perché nemmeno dall'interno della propria
infrastruttura si possa andare a tentativi. Non c'è niente da attivare. È già
così.

**In Google quella modalità esiste, ma è facoltativa.** Per impostazione
predefinita le tue password viaggiano cifrate e vengono conservate cifrate, ma
con chiavi gestite da Google. Puoi cambiarlo: una *passphrase di
sincronizzazione* —o la crittografia sul dispositivo, a seconda da dove entri—
lascia le chiavi soltanto nelle tue mani. La differenza pratica è enorme e la
maggior parte delle persone non l'ha mai attivata, perché nessuno le ha spiegato
che esisteva. Ha un prezzo, e va detto per intero: **se dimentichi quella
passphrase, le tue password salvate non le recupera nessuno.** È esattamente il
significato della parola «solo tu».

**In Firefox, senza password principale, la cifratura non ti protegge da chi ha i
tuoi file.** È la parte più scomoda di questo articolo, e la dice Mozilla, non
noi: senza una password principale impostata, chiunque copi `logins.json` e
`key4.db` dal tuo profilo può leggere le tue credenziali. I due file viaggiano
insieme: uno porta il lucchetto, l'altro la chiave. Mettere una password
principale è ciò che cifra quella chiave e spezza la coppia.

## Lo scenario reale non è un film

Quando uno immagina che gli rubino le password, immagina qualcuno che attacca dei
server. In pratica i due casi che succedono sono molto più domestici.

Il primo: **qualcuno con accesso al tuo computer sbloccato.** Non serve saper
fare nulla. L'elenco è a due clic nelle impostazioni del browser, e anche se
chiede la password di sistema per mostrarle in chiaro, quella password la sa chi
vive con te o ti ha visto digitarla.

Il secondo: **un programma che copia il profilo del tuo browser.** Non sfonda
niente. Si porta via i file e li apre altrove con calma. È un tipo di software
così diffuso da avere un nome proprio nel settore, *infostealer*, ed è la ragione
esatta per cui «ma tanto sono cifrate» richiede sempre la domanda successiva:
cifrate, va bene — e la chiave dov'è?

Contro quel secondo scenario il modello di Apple regge, quello di Google regge se
hai attivato la passphrase, e Firefox senza password principale non regge niente.

## Cosa fare, in ordine di quanto cambia

**Uno.** Se usi Firefox, mettici una password principale. È una casella nelle
impostazioni sulla privacy ed è, di gran lunga, il cambiamento che protegge di
più per il minimo sforzo di tutto questo elenco.

**Due.** Se usi Chrome o Android, entra nel gestore di Google e attiva la
crittografia sul dispositivo o la passphrase di sincronizzazione. Annotala da
qualche parte di fisico prima di attivarla, e capisci cosa stai firmando: da quel
momento quella frase è l'unica porta.

**Tre.** Guarda la password dell'account che custodisce tutto il resto. Il tuo
account Google, il tuo ID Apple o il tuo account Microsoft hanno smesso di essere
«un account come un altro» nel momento in cui hai iniziato a salvarci dentro
delle password: adesso sono la chiave del resto. Se quella password te la sei
inventata tu otto anni fa, passala nel [controllo](/it/controllo/) e guarda cosa
dice. E se ti viene voglia, sostituiscila con una del [generatore](/it/).

**Quattro.** Attiva il secondo fattore su quell'account. È il passo che
trasforma «sanno la tua password» in «non entrano lo stesso».

## Basta così, o mi serve un gestore vero?

Dipende per cosa, e qui la risposta onesta non è quella che vende.

Per la maggior parte delle persone il gestore del browser con la cifratura
configurata bene **basta**, ed è infinitamente meglio dell'alternativa reale, che
non è un gestore migliore: è la stessa password ripetuta su quaranta siti.

Un gestore dedicato vince quando compaiono cose che quello del browser fa male o
non fa: usare due browser diversi senza impazzire, condividere una password con
la tua compagna senza mandarla su WhatsApp, conservare cose che non sono
password, uscire da un ecosistema senza perdere tutto, o poter controllare il
codice di chi custodisce i tuoi segreti. Ne parliamo in un altro articolo, e il
riassunto è che il salto grande non è da un gestore a un altro: è da nessuno a
uno qualsiasi.

## Quello che stavi cercando davvero

Cercavi un elenco. È su `passwords.google.com`, nell'app Password del tuo iPhone
o nelle impostazioni del tuo browser, a seconda di cosa usi.

Ma già che ci sei, guarda un'altra cosa: **quante volte la stessa password si
ripete in quell'elenco.** Tutti e tre i gestori te lo dicono, se glielo chiedi.
Quel numero spiega la tua situazione reale meglio di qualunque cosa tu possa
leggere sulla cifratura, questo articolo compreso.

---

*Fonti: documentazione di sicurezza di Apple sul portachiavi iCloud —cifrato
end-to-end con chiavi che Apple non conosce e con limitazione dei tentativi— ·
guida di Google Chrome su sincronizzazione, passphrase di sincronizzazione e
crittografia sul dispositivo · documentazione di Mozilla su come Firefox salva le
password (`logins.json` e `key4.db`) e sulla password principale.*